\documentclass{beamer} \usetheme{AnnArbor} \usepackage[french]{babel} \usepackage[utf8x]{inputenc} \usepackage{bortzmeyer-utils} \author[Stéphane Bortzmeyer] { Stéphane Bortzmeyer \texttt{stephane+jdll@bortzmeyer.org} } \title[Vie privée]{La vie privée sur l’Internet à l’ère du RGPD} \date[2018] {JDLL, 24 mars 2018} \begin{document} \begin{frame} \titlepage \end{frame} \AtBeginSection[] { \begin{frame} \frametitle{Plan} \tableofcontents[currentsection] \end{frame} } \section{L'attitude et les habitudes} \begin{frame} \frametitle{Chez les utilisateurs} \begin{overlayarea}{\textwidth}{.6\textheight} \begin{itemize} \item<2->Ignorance (« Ils ne peuvent quand même pas retrouver mes messages parmi 500 millions d'utilisateurs » « On m'a juré que les données étaient cryptées et anonymisées »), \item<3->Confiance (« Je n'ai rien à cacher, et je pense que Macron veut notre bien ») \item<4->Fatalisme (« De toute façon, on est tous fichés partout tout le temps ») \end{itemize} \end{overlayarea} \end{frame} \begin{frame} \frametitle{Chez les administrateurs système} \begin{overlayarea}{\textwidth}{.6\textheight} \begin{itemize} \item<2->On stocke tout, dans le doute, \item<3->On fait des sauvegardes, \item<4->On ne détruit jamais rien (ou alors par accident), \item<5->On sécurise… moyennement, \item<6->\emph{Il n'y a pas que les GAFA qui abusent des données !} \end{itemize} \end{overlayarea} \end{frame} \begin{frame} \frametitle{Chez les décideurs ou juristes} \begin{overlayarea}{\textwidth}{.6\textheight} \begin{itemize} \item<2->Pas toujours au courant de ce qui est stocké \item<3->Les listes de fichiers de données sont rarement complètes (journaux, pcap…) \end{itemize} \end{overlayarea} \end{frame} \begin{frame} \frametitle{Chez les développeurs} \begin{overlayarea}{\textwidth}{.6\textheight} \begin{itemize} \item<2->Des formulaires et des bases de données avec trop d'informations \end{itemize} \end{overlayarea} \end{frame} \begin{frame} \frametitle{Plus récemment} \begin{overlayarea}{\textwidth}{.6\textheight} \begin{itemize} \item<2->Avant, on gardait trop de données par négligence \item<3->Maintenant, « les données sont le pétrole du XXIe siècle » \item<4->Tout le monde croit que \foreign{Big Data} et \foreign{Business Intelligence} vont rapporter plein de brouzoufs \item<5->Une bonne (?) raison de garder plein de données \end{itemize} \end{overlayarea} \end{frame} \section{Approche moderne} \begin{frame} \frametitle{Trois cas} \begin{overlayarea}{\textwidth}{.6\textheight} \begin{itemize} \item<2->Le GAFA, qui capte plein de données personnelles, mais a de grosses équipes d'avocats et est probablement compatible avec le RGPD, et se sert effectivement des données, \item<3->la startup FrenchTech qui récolte plein de données, ne sait pas pourquoi et ne les utilise pas (\foreign{Dark Data}), \item<4->le libriste moyen qui récolte des données parce que c'est le comportement par défaut sur Debian. \end{itemize} \end{overlayarea} \end{frame} \begin{frame} \frametitle{Et le risque de piratage} \begin{overlayarea}{\textwidth}{.6\textheight} \begin{itemize} \item<2->« Notre base d'utilisateurs est sécurisée. Nous utilisons du cryptage de haut niveau. » \item<3->La vérité est que votre base sera piratée, tôt ou tard, % Si vous pensez le contraire, c'est que vous vous % croyez plus fort qu'Equifax, Orange, Ashley % Madisons, l'OPM… \item<4->Et vous ne le saurez même pas, % Cas de l'Express \item<5->Bien sûr, il faut prendre toutes les précautions possibles pour diminuer ce risque\only<5>{ (ne pas laisser une copie de la base sur un MongoDB grand ouvert)}, % Depuis % seulement mai 2017 et la version 3.5.7, MongoDB n'écoute plus sur % toutes les interfaces réseau, mais uniquement sur le localhost. \item<6->Mais il faut aussi raisonner sur ce qui arrivera en cas de malheur, \item<7->Colmater quelques failles de sécurité au fur et à mesure n'est pas une approche suffisante. \end{itemize} \end{overlayarea} \end{frame} \begin{frame} \frametitle{Mais il n'y a pas que le risque de piratage} % https://twitter.com/eey0re/status/970144255745212416 \begin{overlayarea}{\textwidth}{.6\textheight} \begin{itemize} \item<2->Si vous récoltez des données personnelles, « comment les protéger ? » ne devrait être que la troisième question, \item<3->« Est-ce que je devrais les récolter ? » sera la deuxième question, \item<4->La \emph{première question} est plutôt « qu'est-ce que les pires salauds feraient de ces données s'ils pouvaient mettre la main dessus ? » \end{itemize} \end{overlayarea} % If you're collecting personal data, "how should I protect this?" is actually your third question. % % "Should I collect this?" is only the second question. % % The first question is "what would the worst people do if they got hold of this?" \end{frame} \section{Le RGPD} % Règlement du Parlement européen et du Conseil du 27 avril 2016 % relatif à la protection des personnes physiques à l’égard du % traitement des données à caractère personnel et à la libre % circulation de ces données % Bonnes lectures : le RGPD lui-même % , % la doc' de la CNIL % % une courte mais bonne synthèse en % , % une analyse beaucoup plus détaillée en % , % % et % . \begin{frame} \frametitle{Rappels} \begin{overlayarea}{\textwidth}{.6\textheight} \begin{itemize} \item<2->Réglement européen (donc s'applique partout « pareil »), \item<3->S'applique à partir du 25 mai 2018, \item<4->« Le traitement des données à caractère personnel devrait être conçu pour servir l'humanité. » \end{itemize} \end{overlayarea} \end{frame} \begin{frame} \frametitle{Rien de nouveau sous le soleil ?} \begin{overlayarea}{\textwidth}{.6\textheight} \begin{itemize} \item<2->En France, des gens s'affolent sur des obligations du RGPD… qui existent depuis la loi Informatique \& Libertés de 1978 ! % loi 78-17 du 6 janvier 1978 \item<3->Le principe de minimisation existe depuis longtemps, \item<4->L'obligation de consentement, de justification de la récolte, existait déjà, \item<5->Les droits d'accès, de suppression et de rectification aussi. % Très dur, la suppression, il faut se souvenir de % tous ses backups. \end{itemize} \end{overlayarea} \end{frame} \begin{frame} \frametitle{Vraies nouveautés RGPD, pour la France} % Une partie : % le RGPD est gros ! \begin{overlayarea}{\textwidth}{.6\textheight} \begin{itemize} \item<2->Attention, l'auteur n'est pas juriste\only<2>{ (mais il voudrait être Tom Hanks dans « Le pont des espions »)}, \item<3->Non-territorialité\only<3>{ (dès qu'on gère des données de résidents européens, on doit respecter le RGPD)}, \item<4->Démontrer le respect de la protection des données personnelles\only<4>{ (plus de « ne vous inquiétez pas, on est sécurisé \foreign{military-grade} »)}, \item<5->Droit à la portabilité des données, \item<6->Amendes plus dissuasives, \item<7->Obligation de notification des failles de sécurité, \item<8->Renforcement des obligations d'information et de transparence. \end{itemize} \only<9->{En fait, le plus gros intérêt du RGPD est de servir de \emph{piqûre de rappel}.} \end{overlayarea} \end{frame} \begin{frame} \frametitle{Tout le monde aime le RGPD} \begin{overlayarea}{\textwidth}{.6\textheight} \begin{itemize} \item<2->Les spams « Soyez RGPD compliants en quinze jours » ne cessent pas, % Avertissement CNIL contre les escroqueries % https://twitter.com/CNIL/status/953628619426942976 https://www.numerama.com/politique/323257-la-cnil-met-en-garde-attention-aux-experts-rgpd-qui-preparent-des-escroqueries.html \item<3->Risque de « \foreign{privacy-washing} ». \end{itemize} \end{overlayarea} \end{frame} \begin{frame} \frametitle{Enfin, non, pas tout le monde} \includegraphics[scale=0.4]{sigfox.png} % http://www.larevuedudigital.com/leurope-risque-de-devenir-le-tiers-monde-du-numerique-pour-le-pdg-de-sigfox/ \end{frame} \begin{frame} \frametitle{Bon, il y a toujours des râleurs} \includegraphics[scale=0.4]{zaraa.png} % Autres râleurs : % http://www.geste.fr/activites/leurope-ne-peut-pas-se-permettre-de-manquer-la-revolution-des-donnees % Également la réponse du gouvernement à % http://www.senat.fr/questions/base/2017/qSEQ170700168.html \end{frame} \begin{frame} \frametitle{Quand même, le RGPD, c'est bon pour le commerce} \includegraphics[scale=0.32]{ovh.png} \end{frame} \begin{frame} \frametitle{Les données ne sont pas le pétrole, elles sont un risque pour vous !} \begin{overlayarea}{\textwidth}{.6\textheight} \begin{itemize} \item<2->Avoir beaucoup de données personnelles sur ses disques durs n'est pas un avantage, \item<3->C'est une responsabilité, et un risque. \end{itemize} \end{overlayarea} \end{frame} \section{Ce qu'il faut changer} \begin{frame} \frametitle{Les protocoles sont trop bavards} \begin{overlayarea}{\textwidth}{.6\textheight} \begin{itemize} \item<2->Exemple, DHCP, qui crie à tout le monde le nom de la machine « je suis l'iPhone de Jean-Kevin ! »\only<2>{ et son ancienne adresse « et j'étais précédemment à l'université de Grenoble ! »}, % RFC 7819 pour % le problème. RFC broadcast protocol % privacy approuvé le 2018-03-15 \item<3->Le DNS transmet à plein de gens votre intérêt vis-à-vis de \path{alcooliques-anonymes.org}, \item<4->HTTP envoie bien trop d'informations\only<4>{ (il n'y a pas que les \foreign{cookies})}. \end{itemize} \end{overlayarea} \end{frame} \begin{frame} \frametitle{Surtout, il faut récolter moins de données} \only<2->{On accepte souvent : \includegraphics[scale=0.24]{formulaire1.png}} % Mon cas à l'Université \only<3->{Tiens, pourquoi pas : \includegraphics[scale=0.24]{formulaire2.png}} \end{frame} \begin{frame} \frametitle{Perdre l'habitude de tout garder par défaut} \includegraphics[scale=0.25]{mastodon-privacy.png} \end{frame} \begin{frame} \frametitle{Le cas des journaux} \begin{overlayarea}{\textwidth}{.6\textheight} \begin{itemize} \item<2->Fichiers conservant l'historique des activités de la machine, \item<3->Souvent bourrés d'informations personnelles, \item<4->Peu de professionnels y pensent (ce n'est pas vu comme une base de données), \item<5->Recommandation 1 : vérifier qu'ils ne sont pas gardés trop longtemps, \item<6->Recommandation 2 : séparer les données \emph{temporaires}, très complètes, et les données permanentes, agrégées et brouillées. % Permet de résoudre le dilemme entre % travail du sysadmin et vie privée. \end{itemize} \end{overlayarea} \end{frame} \begin{frame} \frametitle{« Anonymiser » les données} \begin{overlayarea}{\textwidth}{.6\textheight} \begin{itemize} \item<2->\emph{Attention}, ce n'est pas parce qu'il n'y a pas de nom dans les données qu'elles sont anonymes, \item<3->Le sens grand public du terme « anonymisation » est très trompeur, il s'agit juste en général de \emph{pseudonymisation}\only<3>{ (il y a toujours un identificateur unique, parfois implicite)}, % Exemple du Panopticlick \item<4->Et les techniques modernes permettent très souvent de désanonymiser. \end{itemize} \end{overlayarea} \end{frame} \begin{frame} \frametitle{Brouiller les données} \begin{overlayarea}{\textwidth}{.6\textheight} \begin{itemize} \item<2->La technique la plus efficace est en général de diminuer la quantité d'informations\only<2>{ (développeurs, ne gardez pas tous les bits)}, \item<3->Adresses IP : ne gardez que des préfixes /16\only<3>{ (IPv4)} et /32\only<3>{ (IPv6)}, % Recommendation DPA % allemande ? \item<4->Exemple, si vous stockez une localisation, limitez la précision, \item<5->Attention, un nombre de kilomètres constant n'est pas une bonne idée : à Lyon, un kilomètre suffit à brouiller, mais pas à la campagne, \item<6->Autre exemple, sur une date de naissance, ne gardez que l'année\only<6->{ (c'est suffisant pour des statistiques)}. \end{itemize} \end{overlayarea} \end{frame} \begin{frame} \frametitle{Problèmes opérationnels} \begin{overlayarea}{\textwidth}{.6\textheight} \begin{itemize} \item<2->Évidemment, moins de données peut être un problème, \item<3->Si on garde les journaux une semaine, on aura du mal à enquêter sur un incident qui s'est produit 10 jours auparavant, \item<4->Si on met en œuvre les recommandations du RFC 7844 sur DHCP, le travail de l'administrateur système sera plus difficile, \item<5->La sécurité est toujours un compromis, \item<6->Pas de miracle, les seules techniques efficaces de protection de la vie privée diminuent les données. \end{itemize} \end{overlayarea} \end{frame} \begin{frame} \frametitle{Problèmes légaux} \begin{overlayarea}{\textwidth}{.6\textheight} \begin{itemize} \item<2->Les lois peuvent être contradictoires, \item<3->Concilier le RGPD avec les lois « état d'urgence » \item<4->Cas d'une réquisition judiciaire\only<4>{ (Quadrature du Net avec leur instance Mastodon en octobre 2017)} : respecter l'arrêt Tele2 Sverige AB (C-203/15) rendu le 21 décembre 2016 par la Cour de justice de l'Union européenne\only<4>{ (14 jours maximum)} ou bien l'article 6, II, de la loi du 21 juin 2004 pour la confiance dans l'économie numérique\only<4>{ (un an minimum)} ? % http://www.laquadrature.net/fr/requisition_mamot \end{itemize} \end{overlayarea} \end{frame} \end{document}